CVE-2026-13225
ŚrednieCVSS 5.3Streszczenie
Podatność umożliwia wstrzyknięcie złośliwego kodu HTML do adresu e-mail zamówienia, który pretix wyświetla bez sanityzacji na stronie potwierdzenia dla poszczególnych biletów w tym zamówieniu.
Ocena ryzyka
Atakujący może wykorzystać tę lukę do przeprowadzenia ataku typu cross-site scripting (XSS), co może prowadzić do kradzieży sesji użytkowników lub wyświetlania fałszywych treści.
Rekomendacja
Należy zaktualizować pretix do najnowszej wersji, która zawiera poprawkę usuwającą brak sanityzacji danych wejściowych w adresie e-mail.
Inne podatności w pretix
Zobacz wszystkie- CVE-2026-57533Niskie
Podatność umożliwia wstrzyknięcie złośliwego kodu HTML na stronę wyświetlaną przez pretix podczas przekierowania do niezaufanej lokalizacji. Ze względu na zastosowaną politykę bezpieczeństwa treści (CSP), atak może być wykorzystany głównie do celów phishingowych.
- CVE-2026-13602Wysokie
W systemie pretix wykryto łańcuch podatności: wtyczki płatności (Stripe, Mollie, OPPWA, BitPay, Payone, SecuConnect, Sofort, Saferpay) nie walidują parametrów sesji poza podpisem kryptograficznym, funkcja przekierowań używa tego samego klucza i soli do podpisu, co wtyczki, a funkcja przejmowania sesji przez admina pozwala na zmianę użytkownika po wstrzyknięciu dowolnych parametrów. Atakujący z dostępem do co najmniej jednego wydarzenia może stać się dowolnym użytkownikiem backendu i uzyskać dostęp do wszystkich danych.
- CVE-2026-5600Średnie
Pretix 2025 zawiera nowy punkt końcowy API, który zamiast zwracać dane o odprawach dla konkretnego wydarzenia, zwraca dane dla wszystkich wydarzeń danego organizatora. Umożliwia to nieautoryzowanym użytkownikom dostęp do informacji o odprawach innych wydarzeń.
Oryginalny opis (angielski, źródło NVD)
Malicious HTML content could be injected into the email address of an order, which pretix showed without sanitization on the confirmation page for individual tickets in that order.